CVE-2020-9740: XSS in Adobe Experience Manager

攻击者可以利用此 XSS 漏洞在受害者的浏览器中执行任意 JavaScript 代码。这意味着攻击者可以窃取用户的 Cookie、重定向用户到恶意网站、篡改页面内容，甚至冒充用户执行操作。由于该漏洞需要 '作者' 权限，因此攻击者可能需要先获得对 AEM 系统的访问权限。成功利用此漏洞可能导致敏感信息泄露、系统被破坏以及用户数据被盗取。该漏洞的潜在影响范围取决于 AEM 系统的配置和部署方式，如果 AEM 系统与关键业务系统集成，则影响范围可能更大。

Organizations heavily reliant on Adobe Experience Manager for content management, particularly those with large numbers of users with 'Author' privileges, are at significant risk. Environments with legacy AEM configurations or those lacking robust input validation practices are especially vulnerable. Shared hosting environments utilizing AEM also present a heightened risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -u adobe-aem -g 'Design Importer' | grep -i 'script' 

• generic web:

curl -I <aem_url>/design-importer/ | grep -i 'content-type: javascript'

1. 2020-09-10Disclosure

   disclosure

2. 2020-09-10Patch

   patch

1. 已保留2020-03-02
2. 发布日期2020-09-10
3. 修改日期2024-09-16
4. EPSS 更新日期2026-04-02

最有效的缓解措施是升级至 6.5.6 或更高版本，该版本包含此漏洞的修复程序。如果无法立即升级，可以考虑以下临时缓解措施：限制 '作者' 角色的权限，只授予其执行必要任务的权限；实施严格的输入验证和输出编码，以防止恶意脚本注入；使用 Web 应用防火墙 (WAF) 过滤潜在的 XSS 攻击；监控 AEM 系统日志，以检测可疑活动。升级后，请验证修复是否成功，例如通过尝试在设计导入器中存储恶意脚本，并确认脚本未被执行。